Passwort-Manager für Kanzleien: was in den Tresor gehört und was nicht

Diese Zugänge kommen in einer Kanzlei zusammen

Zählt man in einer Kanzlei mit drei Berufsträgern und zwei Fachangestellten die Zugänge, kommt mehr zusammen als gedacht. Nur wenige gehören zu einem einzelnen Mandat. Über fast alle erreicht man aber Daten, die unter die anwaltliche Verschwiegenheit fallen.

• Kanzleisoftware: Aktenverwaltung, Fristenkalender, Gebührenabrechnung. Meist mit eigenen Benutzern je Person und einem Administratorkonto für Einstellungen und Updates.
• Mandantenportal und Datenräume: das Konto, über das die Kanzlei Mandanten Dokumente bereitstellt, dazu Zugänge zu Datenräumen, die die Gegenseite oder ein Insolvenzverwalter eröffnet.
• Register und Behörden: Abrufkonten der Kanzlei, soweit dort nicht das beA als Anmeldung dient.
• Fachliteratur: Rechtsprechungsdatenbanken und Online-Kommentare, oft als Lizenz mit einem Konto pro Berufsträger. Einen solchen Zugang teilen Sie nur, wenn die Lizenz mehrere Nutzer erlaubt, sonst bekommt jede Person einen eigenen.
• Büro und Technik: Diktiersoftware, Telefonanlage, Kopierer, Router, E-Mail-Postfächer, Domain.

Oft liegen diese Daten verstreut: im Browser einzelner Arbeitsplätze, in einer Tabelle auf dem Laufwerk des Sekretariats, auf einem Zettel in der Schublade. Was an Tabelle und Browser das Problem ist, steht im Ratgeber Passwörter in Excel oder im Browser.

beA-Karte, Softwarezertifikat und PIN bleiben beim Inhaber

Am besonderen elektronischen Anwaltspostfach melden Sie sich mit der beA-Karte oder einem Softwarezertifikat und der PIN an. Nach § 26 RAVPV darf der Inhaber sein Zertifikat keiner weiteren Person überlassen und muss die PIN geheim halten. In eine Sammlung, die das Sekretariat sieht, gehören beide deshalb nicht.

Für die Mitarbeiter hat das beA eine eigene Rechteverwaltung. Nach § 23 RAVPV bekommen sie ein eigenes Sicherungsmittel, also eine Mitarbeiterkarte oder ein Softwarezertifikat, und der Postfachinhaber räumt ihnen in seinem Postfach abgestufte Rechte ein. Der beA-Support der Bundesrechtsanwaltskammer rät, jeder Person ein eigenes Token zu geben. Nur dann zeigt das Nachrichtenjournal, wer eine Nachricht gelesen, verschoben oder gelöscht hat. Teilen sich zwei Personen eine Karte, fehlt diese Zuordnung, und das kann nach Angaben des Supports in einem Wiedereinsetzungsverfahren Probleme bereiten.

Verschwiegenheit, Dienstleister und der Tresor

§ 43a Abs. 2 BRAO verpflichtet Anwälte zur Verschwiegenheit über alles, was ihnen im Beruf bekannt wird. Nach § 2 Abs. 2 BORA gehören dazu die organisatorischen und technischen Maßnahmen zum Schutz des Mandatsgeheimnisses, die risikoadäquat und für den Anwaltsberuf zumutbar sind. Passwörter oder Zugangsdaten nennt die Berufsordnung dabei nicht.

Für externe Helfer gelten zwei Vorschriften. § 203 Abs. 3 StGB erlaubt Berufsgeheimnisträgern, Geheimnisse gegenüber Personen zu offenbaren, die an ihrer Tätigkeit mitwirken, soweit das für deren Tätigkeit erforderlich ist. § 43e BRAO legt fest, was die Kanzlei dabei tun muss:

• Sie öffnet dem Dienstleister nur die Tatsachen, die er für seine Leistung braucht.
• Sie wählt ihn sorgfältig aus und beendet die Zusammenarbeit sofort, wenn er die Vorgaben nicht einhält.
• Sie schließt einen Vertrag in Textform. Darin verpflichtet sie ihn zur Verschwiegenheit, belehrt ihn über die strafrechtlichen Folgen und legt fest, ob er weitere Personen heranziehen darf.

Als Betreiber Ihres Tresors sehen wir wenig. Die Inhalte sind Ende-zu-Ende-verschlüsselt und werden erst auf den Geräten Ihrer Nutzer entschlüsselt, Passwörter, Notizen und Anhänge können wir nicht lesen. Sichtbar sind für uns Namen und E-Mail-Adressen der Nutzer und technische Protokolle. Der Server läuft auf den Namen Ihrer Kanzlei in einem deutschen Rechenzentrum von netcup, und Schönfelder EDV gibt nichts an Subunternehmer weiter.

Auch im Tresor selbst bekommen Externe nur das, was sie brauchen. Betreut ein IT-Dienstleister Ihre Kanzleisoftware, laden Sie ihn wie einen Mitarbeiter ein und geben ihm nur die Sammlung mit den Wartungszugängen frei. Das eigene Konto kostet nichts extra, die Mandatssammlungen sieht er nicht.

Ein Vertrag zur Auftragsverarbeitung gehört zum Angebot. Eine Verschwiegenheitsvereinbarung nach Ihrem Berufsrecht unterschreiben wir auf Wunsch. Dieser Text ist keine Rechtsberatung.

Sammlungen nach Rollen statt nach Abteilungen

Im Tresor legen Sie für jede Sammlung fest, wer sie sieht. Abteilungen hat eine kleine Kanzlei kaum, wohl aber Rollen: Das Sekretariat braucht andere Zugänge als die Partner, und die Buchhaltung gehört nicht in dieselbe Sammlung wie der Paketdienst. Das Onlinebanking für Geschäftskonto und Anderkonto liegt in keiner Sammlung: Wer Zahlungen auslöst, hat bei der Bank einen eigenen Zugang mit Vollmacht (siehe Onlinebanking für Mitarbeiter).

Die Einteilung ist ein Vorschlag, den wir bei der Einrichtung an Ihre Kanzlei anpassen. Wie Sie Zugänge über den Tresor statt per E-Mail weitergeben, steht im Ratgeber Passwörter im Team teilen. Verlangt ein Fachportal einen Bestätigungscode, ruft jede berechtigte Fachangestellte ihn im Tresor ab, statt ein Handy durchs Büro zu reichen (2FA-Codes im Team teilen). Weil Passwort und Code dann im selben Tresor liegen, richten wir am Tresor selbst die Zwei-Faktor-Pflicht für alle Mitarbeiter ein: Jeder Mitarbeiter meldet sich mit eigenem Master-Passwort und eigenem zweiten Faktor an. Eigentümer und Administratoren richten den zweiten Faktor selbst ein.

Zur Einrichtung gehört auch ein Notfallzugang für die Kanzleileitung. Wie er abläuft, legen wir mit Ihnen fest, Hintergründe stehen im Ratgeber Notfallzugriff auf Firmenpasswörter.

Beispiel: zwei Einzelanwälte in Bürogemeinschaft

Ein erfundener Fall: Eine Strafverteidigerin und ein Anwalt für Mietrecht teilen sich Räume, Telefonanlage, Kopierer und eine Rechtsanwaltsfachangestellte. Ihre Mandate führen beide getrennt. Bisher lag im Sekretariat eine gemeinsame Passwortliste, in der auch die Fachdatenbanken und das Mandantenportal der Verteidigerin standen.

Im Tresor gibt es jetzt drei Sammlungen. „Büro“ mit Telefonanlage, Router, Kopierer und Paketdienst sehen alle drei. „Strafrecht“ gehört der Verteidigerin, „Mietrecht“ ihrem Kollegen, und die Fachangestellte bekommt beide, weil sie für beide arbeitet. In einer gemeinsamen Organisation wären beide Anwälte Eigentümer und kämen damit auch an die Mandate des anderen. Weil beide ihre Mandate getrennt führen, bekommt jeder eine eigene Organisation oder einen eigenen Tresor, und die Fachangestellte hat in jeder ein eigenes Konto. Mit nur einem Konto käme jeder Anwalt über die Kontowiederherstellung an ihr Konto und damit auch an die Sammlung des anderen. Welche der beiden Varianten passt, legen wir im Erstgespräch fest. Kommt im Urlaub eine Aushilfe, gibt jeder Anwalt ihr nur die eigene Sammlung frei und entzieht die Freigabe danach wieder.

Am beA ändert sich nichts. Jeder hat sein eigenes Postfach, die Fachangestellte arbeitet mit einer Mitarbeiterkarte und den Rechten, die ihr beide im jeweiligen Postfach eingeräumt haben.

Wenn eine Fachangestellte oder ein Referendar geht

Referendare bleiben einige Monate, Auszubildende wechseln nach der Prüfung, Fachangestellte gehen in eine andere Kanzlei. Beim Abschied sind drei Dinge zu erledigen, und nur eines davon betrifft den Tresor.

1. Tresor: Der Verantwortliche in Ihrer Kanzlei sperrt das Konto der Person. Passwörter, die sie kannte, ändern Sie trotzdem. Der Tresor zeigt, welche Sammlungen sie sehen konnte.
2. beA: Jeder Postfachinhaber, für den die Person gearbeitet hat, entzieht ihr in seinem Postfach die Rechte. Mit der Funktion „Zugang löschen“ lässt sich der Mitarbeiter auch auf einmal aus dem beA-System entfernen, das geht laut beA-Support aber nur nach Anmeldung mit seinem Token.
3. Sicherungsmittel: Die Mitarbeiterkarte bleibt in der Kanzlei. Ein Softwarezertifikat kündigen Sie nach der Empfehlung des beA-Supports, weil die Person eine Kopie der Datei behalten haben könnte.

Die Reihenfolge für alle übrigen Zugänge steht in der Checkliste, wenn ein Mitarbeiter die Firma verlässt. Für Referendare lohnt sich eine kleine eigene Sammlung mit genau dem, was sie in der Station brauchen. Dann ist beim Abschied schnell klar, welche Passwörter Sie ändern.

Kosten für eine Kanzlei

Die Wartung kostet 16,99 € im Monat inkl. MwSt. bei 12 Monaten Mindestlaufzeit, egal wie viele Berufsträger, Fachangestellte, Referendare oder externe Helfer ein Konto haben. Die Einrichtung ist enthalten. Dazu kommt die Miete für den Server, den Ihre Kanzlei direkt bei netcup bucht, ab 3,69 € im Monat inkl. MwSt. Das Angebot gilt nur für Unternehmer.

Eine Sicherung gibt es nur mit dem Backup-Paket für 7,99 € im Monat inkl. MwSt., ohne das Paket sichern wir den Tresor nicht und Sie exportieren selbst. Hilfe im Alltag rechnen wir nach Aufwand ab: 74,99 € je Stunde inkl. MwSt., je angefangener Viertelstunde.

Für Steuerkanzleien gibt es eine eigene Seite: Passwort-Manager für Steuerberater, für Prüfungsmandate die Seite für Wirtschaftsprüfer. Kammer, Gerichte und Aufsicht für Kanzleien in Sachsens Landeshauptstadt stehen auf der Seite Anwälte in Dresden. Ob der Tresor zu Ihrer Kanzlei passt, klären wir im kostenlosen Erstgespräch (15 Minuten) am Telefon oder per Video.

Anlaufstellen